Forum PHP Romania - Discutii despre PHP, MySQL, Javascript, AJAX, etc

[Pirahna]

nu strica niciodata sa ai o parere prea buna despre tine dar din pacate nu este cazul meu pentru ca eu nu am deloc o parere buna despre mine (cunoscutii stiu) ...



mersi pentru felicitari
:P

[w31rd0]

phpweb :),
Sper sa nu mi-o iei in nume de rau, dar pe langa faptul ca ai postat pe PHP avansat, unde nu cred ca isi avea locul acest thread, ai deschis un subiect pe marginea caruia nu se poate discuta. Adica modul cum ai expus tu problema dezvolta o discutie despre nimik, adica:

Oaaau, uite si la astia, au bug-uri... so what?... Dupa cum s-a spus le trimiti un mail si incerci sa nu faci depresie din cauza ca nu le merge site-ul, sau ca are bug-uri.

Daca veneai cu intrebari de genul... de ce la ei asta asa? cum sa fac sa nu fie si la mine... se putea dezvolta o discutie.. asa... discutam despre nimik, postul meu venind sa completeze discutia.

[bond]

w31rd0 a scris: phpweb :),
Sper sa nu mi-o iei in nume de rau, dar pe langa faptul ca ai postat pe PHP avansat, unde nu cred ca isi avea locul acest thread, ai deschis un subiect pe marginea caruia nu se poate discuta. Nu phpweb a deschis discutia ci altcineva. El saracul a expus o curiozitate personala de incepator asa cum chiar el se autodefineste.

[w31rd0]

Greseala mea, sorry :oops:

[NDC]

Fratilor programatori, ieri site-ul meu si-a luat-o pe coaja din cauza unei injectii SQL. In fine, dupa o noapte nedormita am aflat cum a procedat atacatorul (am reuist sa imi hackuiesc propriul site), si am reparat problema.

Faza naspa este ca astazi, mai mult de curiozitate, am accesat cateva site-uri romanesti destul de accesate si am incercat metoda. Nu pot sa cred ca in acest moment pot intra pe un site cu pretentii din .ro (30.000 de vizitatori pe luna) CU ORICE USERNAME existent in baza lor de date, fara nevoie de parola, fara nik! Am sa le scriu un email astazi, sa vad ce o sa raspunda :)

Deci, da, SECURITATEA UNOR SITEURI LASA DE DORIT.

[bond]

NDC a scris: Am sa le scriu un email astazi, sa vad ce o sa raspunda :). Poate ne tii si pe noi la curent cu raspunsurile :wink:

[NDC]

bond a scris: NDC a scris: Am sa le scriu un email astazi, sa vad ce o sa raspunda :). Poate ne tii si pe noi la curent cu raspunsurile :wink:
Imi place seriozitatea lor. Au trecut aproape 3 zile si deocamdata tot "New mail: 0".

Intre timp am mai descoperit unul :D ... ce-ar fi sa public aici adresele, poate asa se trezesc?!

[Emil]

ce-ar fi sa nu le publici, poate nu sunt daca ti-au primit mailul si te ignora e problema lor, poate scapa poate nu, poate unele persoane de pe forum nu sunt ff bine intentionate si o patesc doar din cauza ca tu te-ai ocosit sa publici link-urile :(

[Pirahna]

tinand cont ca poti intra ca guest ... cineva o sa rrupa "victimele" ...

dar si pentru a securiza mai bine un site sunt necesare anumite sacrificii ...

eu nu sunt impotriva publicarii acestor site-uri ... si nici nu o sa ma joc cu sql injection sau alte porcarii ca am alte lucruri mai bune de facut :)

[Emil]

Io cred ca nu prea ai habar ce inseamna securitatea unui site, e o problema mult prea spinoasa pt a te rezuma la un SQL injection, ia cauta pe google "php exploits" sau "apache exploits".
Referitor la sacrificii, inafara de timpul alocat pentru a securiza componentele ce fac aplicatia ta sa functioneze (SO, webserver, php, mysql, etc) cui un linuxist bun, nu trebuie decat sa scrii codul bine, putin paranoic ('never trust the user content") si sa ai experienta (de obicei pana nu ai primul site gaurit de un kiddie sau nu vezi niste intrari dubioase in log-urile de la webserver nu prea te interesezi de securitate :mrgreen:, apoi sufli si in iaurt, e si mai misto daca nu ai nici un backup recent... :twisted: )

[NDC]

Din motive evidente nu fac publice adresele celor doua site-uri.

Va zic doar atat: ambele se afla in trafic.ro in Top 10 in categorii specifice... fara comentarii. Poate cand primul site isi rezolva problemele o sa imi pot permite sa va zic ca o anume "competitie" anuala ar fi putut fi usor deturnata din pricina acestui aspect.

[biban]

..Si in final intervin si eu :).
Ca multi viteji de pe aici am gasit si eu probleme la niste site-uri (nu probleme asa de mari sau poate nu am stiut sa le gasesc eu pe alea mari) iar la altele am avut doar sugestii. Am trimis emailuri administratorilor, dar de multe ori insa nu am gasit adresa lor de email sau a trebuit sa pierd minute intregi pana sa gasesc adresa de email ascunsa pe undeva. Asa ca nu ezitati sa lasati adresele la indemana, nu se stie cand primiti un sfat prietenesc.
Asa ca chestie incercati sa cautati pe google urmatorul sir de caractere: "<!--" (fara chilimele). Le-am scris, mi-au multumit pentru sesizare, mi-au spus ca sistemul lor nu e apt sa rezolve problema si ca vor face eforturi pentru rezolvare. Au fost atat de amabili incat mi-au dat exemple si te alte siruri de caractere "problema" la care lucreaza. La momentul respectiv incercau sa afiseze ceva rezultate dar erau tratate drept comentariu (se regaseau daca dadeam viewsource pe pagina). Acum acestea interogari sunt ignorate de motorul de cautare.

[Emil]

vorbind de lup, uite ce am gasit dimineata in logs (e apache-ul local, de pe pc-ul pe care lucrez si scriu acum)
lol & nolol - awstats are un hole naspa de tot cu care un kiddie poate sa intre usor pe server (ghinion pt looseri, n-am awstats pe masina asta)
My logs:

Citat:
61.80.72.99 - - [08/May/2005:16:23:43 +0300] "GET //cgi-bin/awstats/awstats.pl?configdir=|%20id%20| HTTP/1.1" 404 -
61.80.72.99 - - [08/May/2005:16:23:44 +0300] "GET //cgi-bin/awstats.pl?configdir=|%20id%20| HTTP/1.1" 404 -
61.80.72.99 - - [08/May/2005:16:23:46 +0300] "GET //cgi/awstats.pl?configdir=|%20id%20| HTTP/1.1" 404 -


Citat:
209.152.161.189 - - [06/May/2005:18:49:26 +0300] "GET //cgi-bin/awstats/awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:26 +0300] "GET //cgi-bin/awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:26 +0300] "GET //cgi/awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:27 +0300] "GET //awstats/awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:27 +0300] "GET //cgi-bin/stats/awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:27 +0300] "GET //stats/awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:28 +0300] "GET //awstats.pl HTTP/1.1" 404 -
209.152.161.189 - - [06/May/2005:18:49:28 +0300] "GET //cgi/stats/awstats.pl HTTP/1.1" 404 -
217.115.140.59 - - [06/May/2005:22:52:20 +0300] "GET / HTTP/1.0" 200 500
81.215.229.246 - - [07/May/2005:10:55:33 +0300] "GET


Citat:

blah ce cool sunt ei :twisted:


/scripts/..%255c%255c../winnt/system32/cmd.exe?/c+ver HTTP/1.0" 404 -

[phpweb]

Pe GOOGLE caracterele speciale @,#,$,%,^,*,(,),-,+,=,/,?,\,<,>, s.a.m.d nu genereaza rezultate. La ! iti sugereaza o cautare si singurul care a avut rezultate a fost &

[rebelteam]

http://www.tourit.as.ro/hack.php

[PHPRomania Bot]